Роман Безруков

В общих чертах как-то так:
1. Поднять инфраструктуру Exchange 2019 (домен Active Directory есть?)
2. Создать почтовые ящики пользователей
3. Переключить внешние DNS-записи, чтобы указывали на вашу инфраструктуру
4. Начать получать почту в Exchange
5. Выполнить экспорт ящиков Яндекс в PST
6. Выполнить импорт PST-файлов в Exchange
7. Перестать использовать почту Яндекс

P.S. согласен с CityCat4 в плане найма вами человека, обладающего необходимыми знаниями...

Не надо ничего удалять...
1. Подключаете в Outlook ФД-2 и выполняете экспорт всего содержимого в PST, после чего отключаете ФД-2.
2. Подключаете ФД-1 и выполняете импорт PST из шага 1

Я правильно понимаю, что вам нужна Прозрачная авторизация на RDS с помощью SSO?
Если нет - уточните варианты и условия подключения...

Можно ходить за паролем на какой-то внутренний ресурс с ограниченным доступом
Можно удаленно создавать задачу в планировщике и запускать ее немедленно.
Можно поднимать удаленную сессию PowerShell (New-PSSession, Invoke-Command и т.д.).
Можно использовать GPO для установки ПО.

Что у Вас с сертификатами и их привязками в IIS (на Exchange Backend)?

SLMGR - это все-таки VBS-скрипт для Windows Scripting Host (WSH), который есть cscript.exe, а не powershell.exe.
Можно, конечно, его и через PowerShell запустить - но у Вас и так какой-то Франкенштейн: VBS внутри PowerShell внутри Python.
Почему Вы не можете выполнить просто cscript.exe slmgr...? Вам обязательно все это запихивать в Python?

Планировщик задач Вам в помощь. В задаче запускаете смотрелку PDF, параметром передаете файл с планом

бесплатный K-Lite Codec Pack должен уметь...

IsExcludedFromProvisioningBySpaceMonitoring - параметр вычисляемый, напрямую его не установить

Если правильно помню - во времена Exchange 2013 я правил эти значения в *.config файлах (например, EdgeTransport.exe.config) в папке $ExchangeInstallPath\Bin. Там явно было задано значение "20", и я менял его на "5" - это размер свободного места на диске в процентах от общего объема диска.
В Exchange 2019 собственный мониторинг в плане управляемой доступности продвинулся вперед, и я не нашел аналогичные параметры в файлах *.config. Теперь предлагается менять данные параметры в реестре или через PowerShell (*-ServerHealth, *-GlobalMonitoringOverride и т.д.). Отвечает за это служба Microsoft Exchange Health Manager - после изменений ее надо рестартовать. Плюс посмотрите файлы *.config/*.xml/*.ini в папках $ExchangeInstallPath\Bin и $ExchangeInstallPath\Bin\Monitoring\Config на предмет подходящих настроек.

Еще на почитать - Exchange Server storage configuration options

Как ведет себя OWA с такими же ящиками?
Режим кэширования в Outlook на какой период включен?
Дополнительные ящики у пользователя подключаются в профиле?
В Outlook в папке "Ошибки синхронизации" посмотрите ошибки
Попробуйте создать новый профиль Outlook для пользователя

Средний ПЯ выглядит так: объем от 800 мб до 2 гб

количество писем больше влияет...

Когда истекает пароль пользователя в AD, оповещаем...

В принципе - можно, PowerShell в помощь. Только зачем? Если у вас не было домена - зачем вы будете переносить локальные учетки пользователей с каждого компа в домен?
Вам надо создать в домене пользователей и необходимые группы безопасности и включить ваши компы в домен (это можно автоматизировать), а потом политиками/скриптами/средствами удаленного управления включить определенные доменные группы в нужные локальные группы (например, локальные админы, пользователи удаленного рабочего стола) на доменных компах. Ну и, при необходимости, выполнить очистку локальных групп от ненужных/устаревших данных - опять же политиками, скриптами и т.д.

PowerShell в помощь...

Set-ADUser -Identity $ADusername -LogonWorkstations $comparray

$ADusername - пользователь, $comparray - компьютер или набор компьютеров

Так-то все уже описано до нас...

Еще можно посоветовать монструозную штуку под названием SCCM (System Center Configuration Manager)

потыкайте новый домен снаружи через Remote Connectivity Analyzer, там есть проверка входящей почты - тест вам покажет ошибки, если они есть
у провайдера все нужные записи для нового домена опубликованы (A, MX, PTR и т.д.)? и как давно опубликованы?

1. Рядовых пользователей (и группу Domain Users) исключить из локальных групп Administrators и Remote Desktop Users
2. На рабочих ПК из локальной группы Remote Desktop Users исключить всех, кроме конкретных пользователей, кому разрешен доступ на данный ПК

При желании все это можно через GPP организовать (потребуются дополнительные группы по количеству ПК, к которым открывается доступ).
Еще, как вариант, можно поднять RD Gateway и на нем через политики CAP ("кому") и RAP ("куда") рулить доступом к внутренним ПК